Guias desta etapa

• Entendimento do modelo de negócio e do ambiente na auditoria — A avaliação de riscos considera setor, regulação, modelo, objetivos, estratégias, indicadores, financiamento, estrutura e mudanças. A narrativa deve ligar decisões a transações, saldos e divulgações.
• Classes de transações, saldos, divulgações e afirmações — Riscos são avaliados em afirmações como ocorrência, completude, precisão, corte, classificação, existência, direitos, obrigações, avaliação e apresentação. O mapeamento conecta processo, conta e divulgação.
• Ambiente de TI e controles gerais na avaliação de riscos — A auditoria entende aplicações, interfaces, infraestrutura e controles gerais relevantes, incluindo acesso, mudanças, operação, jobs, incidentes e segregação. Dependência automatizada aumenta a importância da base tecnológica.
• Desenho e implementação de controles internos na auditoria — Desenho avalia se o controle, executado como previsto, pode tratar o risco; implementação verifica se existe e foi colocado em operação. Política escrita sem execução não comprova implementação.
• Espectro de risco inerente: probabilidade e magnitude — Risco inerente varia conforme probabilidade e magnitude de possível distorção antes dos controles. Complexidade, subjetividade, mudança, incerteza e suscetibilidade a viés ajudam a posicionar o risco no espectro.
• Riscos significativos na auditoria: o que muda na preparação — Risco significativo exige atenção especial na auditoria. A preparação detalha processo, julgamentos, controles identificados, evidências, especialistas, mudanças e governança, sem presumir que um controle elimina o risco.
• Fatores de risco em estimativas na avaliação de auditoria — Incerteza, complexidade, subjetividade, mudança e suscetibilidade a viés influenciam risco. A matriz liga cada fator às afirmações, controles e possíveis distorções, sem repetir apenas a descrição do modelo.
• Riscos no nível das demonstrações e no nível de afirmações — Riscos no nível das demonstrações afetam amplamente o trabalho, como governança fraca ou ambiente de controle deficiente. Riscos em afirmações se ligam a classes, saldos ou divulgações específicas.
• Confiar em controles ou usar procedimentos substantivos na auditoria — O auditor pode testar controles quando espera eficácia ou quando procedimentos substantivos isolados não fornecem evidência suficiente. Mesmo com confiança em controles, procedimentos substantivos continuam necessários para classes e saldos relevantes.
• Testes de controles: evidências, população e exceções — O teste considera quem executou, frequência, população, seleção, atributos, evidência e tratamento de exceções. Uma assinatura não prova necessariamente revisão; o conteúdo do desafio precisa ser visível.
• Procedimentos substantivos para classes, saldos e divulgações relevantes — Procedimentos substantivos incluem testes de detalhes e procedimentos analíticos substantivos. A natureza e extensão respondem a riscos, materialidade, qualidade dos dados e resultados de controles.
• Quando os riscos são reavaliados durante a auditoria — Evidência nova ou inconsistente pode exigir reavaliar riscos e modificar procedimentos. Falha de controle, distorção inesperada, fraude, dado incompleto ou mudança relevante são exemplos de gatilhos.
• Achados inesperados: resposta e escalonamento na auditoria — A resposta separa fato, causa, população, efeito, correção, controle, comunicação e responsável. Itens com fraude, administração envolvida, impacto amplo ou prazo crítico exigem escalonamento adequado.
• Checklist da matriz de riscos e respostas de auditoria — O checklist confirma processos, classes, saldos, divulgações, afirmações, fatores inerentes, controles, TI, populações, exceções, mudanças, responsáveis e evidências.